Jobdossiers · Privacy · Condizioni · Impressum

Informativa sulla privacy

Versione del 20.10.2026.

1. Titolare del trattamento

Marco Scarito, ditta individuale, via Generale Guisan 8b, 6900 Paradiso (TI), Svizzera. Richieste sui dati: marco.scarito@swisssecurityinsights.ch.

2. Quali dati trattiamo

Account. Indirizzo email, password conservata solo come hash argon2id (mai in chiaro), dati dell'autenticazione a due fattori (segreto TOTP e codici di recupero monouso), lingua, data di creazione e di ultimo accesso.

Contenuti cifrati nel tuo browser. Candidature, documenti, nomi dei file, il CV master, la lettera di esempio e, se la attivi, la tua chiave API. Sono cifrati nel browser con una chiave che deriva dalla tua password. Il server riceve e conserva solo dati illeggibili: senza la tua password (o il codice di recupero della cifratura) nessuno può leggerli, noi compresi.

Dati di servizio in chiaro. Stato di ogni candidatura, date, dimensioni dei file, piano di abbonamento, conteggi di utilizzo (per esempio le posizioni del mese). Non sono cifrati perché servono a far funzionare il servizio.

Dati tecnici. Per limitare gli abusi conserviamo l'indirizzo IP solo come impronta troncata e non recuperabile, dentro i contatori di limite delle richieste. Le voci più vecchie di 24 ore vengono cancellate.

Registro eventi. Per sicurezza registriamo le azioni sull'account: accessi, cambi di password e di chiavi, aggiunta, modifica e cancellazione di schede e documenti, importazioni, esportazioni, verifiche e scansioni degli annunci, generazioni con l'AI, chiave propria. Ogni voce contiene l'identificativo dell'account, l'ora e il tipo di azione, a volte un dettaglio non sensibile (formato, numero, fornitore AI), mai nomi di aziende, ruoli, note, link o testi. Alcune voci (assistente, AI con chiave propria, esportazione e importazione fatte nel browser) le segnala il tuo browser, perché il server non può vederle. Registriamo anche gli accessi falliti su un account esistente e, a ogni accesso, la famiglia di browser e di sistema (per esempio «Chrome · macOS», mai l'user agent intero né l'indirizzo IP) per riconoscere un dispositivo nuovo: in quel caso ti scriviamo un'email di avviso. I tentativi falliti su indirizzi inesistenti restano solo come contatore tecnico senza utente, per 7 giorni. Puoi consultare il tuo registro nel pannello account e scaricarlo in CSV; vedi solo le tue voci. Le voci restano per 12 mesi, poi vengono cancellate; dopo la cancellazione dell'account restano senza riferimento alla persona.

Ricerca nel registro di commercio. Se usi il pulsante di ricerca azienda nella scheda Job-Room, il nome che digiti viene inviato dal tuo browser al servizio open data della Confederazione (LINDAS, dati del registro di commercio Zefix). Non passa dai nostri server. Il servizio federale vede il nome cercato e il tuo indirizzo IP, come per qualsiasi sito.

Pagamenti. Il pagamento dell'abbonamento è gestito da Stripe, che tratta i dati della carta. Non vediamo il numero della carta. Dal checkout passano l'email dell'account e l'identificativo interno dell'utente; i dati di pagamento restano presso Stripe.

Intelligenza artificiale.

• Chiave API propria (opzione Private di Plus). Il browser usa la tua chiave per chiamare direttamente il fornitore che hai scelto (Anthropic, OpenAI, Google Gemini o Mistral). Il testo di candidature, CV e lettere passa dal tuo browser al fornitore, non dai nostri server. Il fornitore tratta i dati secondo le proprie condizioni. La chiave resta cifrata nel tuo browser; il server ne conserva solo il blob cifrato.
• Assistente «Dossi» (opzione Private di Plus, solo con chiave propria). È una chat che risponde a domande sulle tue candidature. Funziona interamente nel tuo browser: decifra le tue candidature e, a ogni domanda, invia al fornitore che hai scelto con la tua chiave le posizioni (azienda, ruolo, stato, date, note, link e testi che hai salvato) e la tua domanda. Non passa dai nostri server e non vediamo né domande né risposte. Il fornitore tratta questi dati decifrati secondo le proprie condizioni, anche fuori dalla Svizzera; scegli tu se e quando attivarla. L'assistente legge soltanto: non modifica né cancella nulla. Limitiamo i suoi argomenti ai contenuti della piattaforma tramite istruzioni al modello, non con un blocco tecnico. Non salviamo la cronologia: la conversazione resta nella pagina e sparisce quando la chiudi o la ricarichi.
• AI inclusa in Plus. Non è ancora attiva. Quando lo sarà, questa informativa verrà aggiornata prima dell'attivazione, con paese di elaborazione e periodo di conservazione.

3. Cookie

• sjt: cookie di sessione, HttpOnly, SameSite=Lax, valido 14 giorni. Serve per restare collegato.
• sjt_lang: cookie della lingua, valido 365 giorni, SameSite=Lax.

Non usiamo cookie di terze parti, di pubblicità o di analisi.

4. Base giuridica

Forniamo il servizio richiesto (art. 31 cpv. 1 nLPD: esecuzione del contratto), proteggiamo gli account e preveniamo gli abusi (interesse legittimo), adempiamo obblighi di legge (per esempio la contabilità).

5. Dove sono i dati

I dati del servizio sono ospitati in Svizzera presso Infomaniak, anche i backup. Le email di servizio passano dal server di posta di Infomaniak. Il trattamento presso fornitori esteri avviene solo per le funzioni che attivi tu: la chiave API propria, i pagamenti Stripe e la ricerca Zefix.

6. Per quanto tempo

• Account e contenuti: finché l'account esiste.
• Cancellazione dell'account: i dati vengono rimossi subito; i backup si cancellano entro 30 giorni.
• Contatori di limite: 24 ore.
• Registro eventi: 12 mesi.

7. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, opposizione e portabilità. Esporti i tuoi dati in JSON o CSV dall'account e puoi cancellare l'account in qualsiasi momento. Per altre richieste scrivi a marco.scarito@swisssecurityinsights.ch.

Se ritieni che il trattamento violi la legge, puoi rivolgerti all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna.

8. Sicurezza

Cifratura end-to-end dei contenuti nel browser, password con hash argon2id, autenticazione a due fattori obbligatoria, sessioni con token conservati solo come hash, limiti di richieste, registro degli accessi. Nessun sistema è sicuro al 100%: se rileviamo una violazione che ti riguarda, te lo comunichiamo.

Un limite da conoscere: il codice JavaScript che cifra i dati è servito dal nostro server. Un operatore malintenzionato potrebbe modificarlo. Lo diciamo perché tu possa valutarlo.

9. Modifiche

Possiamo aggiornare questa informativa. Ti avvisiamo via email delle modifiche sostanziali.